Roles de RBAC de Azure del plano de datos: Key Vault Secrets User, Service Bus Data Sender/Receiver, AcrPull y los roles de datos integrados de Cosmos DB

Azure separa dos tipos de operaciones. El plano de control (plano de administración) administra los propios recursos: crear un Key Vault, cambiar el nivel de Service Bus, eliminar una cuenta de Cosmos DB. Pasa por Azure Resource Manager. El plano de datos trabaja con los datos que hay dentro: leer un secreto, enviar un mensaje, descargar una imagen, consultar elementos. Roles como Owner y Contributor son roles del plano de control; te permiten administrar el recurso pero, en los servicios que usan acceso a datos con RBAC, por sí solos no te permiten leer los datos. Las apps necesitan roles del plano de datos, asignados a su identidad administrada con el mínimo privilegio.